컴퓨트 로그 Google Cloud 수집

다음에서 지원:

이 문서에서는 Cloud Storage를 사용하여 Google Security Operations로 Google Cloud 컴퓨트 로그를 내보내도록 구성하는 방법을 설명합니다. 파서는 필드를 추출하고, 메시지 필드를 정규화하고, 추출된 데이터를 통합 데이터 모델 (UDM) 스키마에 매핑하여 일관된 보안 이벤트 표현을 제공합니다. syslog와 유사한 메시지, 키-값 쌍 등 다양한 로그 형식을 처리하고 추출된 필드(예: type, action)를 기반으로 이벤트를 분류합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Google Cloud 환경에서 컴퓨팅이 설정되어 있고 활성 상태입니다.
  • Google Cloud에 대한 액세스 권한 관리

Google Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔에 로그인합니다.

  2. Cloud Storage 버킷 페이지로 이동합니다.

    버킷으로 이동

  3. 만들기를 클릭합니다.

  4. 버킷 만들기 페이지에서 버킷 정보를 입력합니다. 다음 각 단계를 완료한 후 계속을 클릭하여 다음 단계로 진행합니다.

    1. 시작하기 섹션에서 다음을 수행합니다.

      1. 버킷 이름 요구사항을 충족하는 고유한 이름을 입력합니다(예: compute-logs).

      2. 계층적 네임스페이스를 사용 설정하려면 펼치기 화살표를 클릭하여 파일 지향 및 데이터 집약적인 워크로드에 최적화 섹션을 펼친 다음 이 버킷에서 계층적 네임스페이스 사용 설정을 선택합니다.

        1. 버킷 라벨을 추가하려면 펼치기 화살표를 클릭하여 라벨 섹션을 펼칩니다.
        2. 라벨 추가를 클릭하고 라벨의 키와 값을 지정합니다.

    2. 데이터 저장 위치 선택 섹션에서 다음을 수행합니다.

      1. 위치 유형을 선택합니다.

        1. 위치 유형 메뉴를 사용하여 버킷 내 객체 데이터가 영구적으로 저장될 위치를 선택합니다.
        1. 버킷 간 복제를 설정하려면 버킷 간 복제 설정 섹션을 펼칩니다.

    3. 데이터의 스토리지 클래스 선택 섹션에서 버킷에 기본 스토리지 클래스를 선택하거나, 버킷 데이터의 자동 스토리지 클래스 관리에 자동 클래스를 선택합니다.

    4. 객체 액세스를 제어하는 방식 선택 섹션에서 공개 액세스 방지를 적용하지 않음을 선택하고 버킷의 객체에 대한 액세스 제어 모델을 선택합니다.

    5. 객체 데이터 보호 방법 선택 섹션에서 다음을 수행합니다.

      1. 버킷에 설정할 데이터 보호 아래의 옵션을 선택합니다.
      2. 객체 데이터가 암호화되는 방식을 선택하려면 데이터 암호화라는 펼치기 화살표를 클릭하고 데이터 암호화 방법을 선택합니다.

  5. 만들기를 클릭합니다.

Google Cloud 컴퓨팅 로그 내보내기 구성

  1. Google Cloud 콘솔에서 로깅 > 로그 라우터로 이동합니다.
  2. 싱크 만들기를 클릭합니다.

  3. 다음과 같은 정보를 입력합니다.

    • 싱크 이름: 의미 있는 이름을 입력합니다(예: Compute-Logs-Sink).
    • 싱크 대상: Cloud Storage를 선택합니다 .
    • 싱크 대상: Cloud Storage를 선택하고 버킷 URI(예: gs://<your-bucket-name>/compute-logs)를 입력합니다.

    • 로그 필터: 다음과 같이 필터를 설정하여 Google Cloud Compute 로그를 캡처합니다.

      • 로그 이름 및 유형:

        logName="*compute*"

      • 네트워크 관련 필드 (예: IP 주소, 포트):

        jsonPayload.connection.dest_ip="*" OR jsonPayload.connection.src_ip="*"

      • 인스턴스 세부정보:

        jsonPayload.dest_instance.project_id="*"
jsonPayload.src_instance.project_id="*"

      • 보안 관련 세부정보:

        jsonPayload.rule_details.action="ALLOW" OR jsonPayload.rule_details.action="BLOCK"

  4. 만들기를 클릭합니다.

Cloud Storage 권한 구성

  1. IAM > IAM 및 관리자 > 서비스 계정으로 이동합니다.
  2. Cloud Logging 서비스 계정(예: service-account@logging.iam.gserviceaccount.com)을 찾습니다.
  3. 버킷에 대한 roles/storage.admin 역할을 제공합니다.

피드 설정

Google SecOps 플랫폼에서 피드를 설정하는 방법은 두 가지입니다.

  • SIEM 설정 > 피드 > 새로 추가
  • 콘텐츠 허브 > 콘텐츠 팩 > 시작하기

Google Cloud 컴퓨팅 피드를 설정하는 방법

  1. Google Cloud Compute 플랫폼 팩을 클릭합니다.
  2. GCP Compute Feed 로그 유형을 찾아 새 피드 추가를 클릭합니다.

  3. 다음 필드의 값을 지정합니다.

    • 소스 유형: Google Cloud Storage V2
    • 스토리지 버킷 URI: Cloud Storage 버킷 URL입니다(예: gs://compute-context-logs).
    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
  • 최대 파일 기간: 지난 일수 내에 수정된 파일을 포함합니다. 기본값은 180일입니다.
  • Chronicle 서비스 계정: 서비스 계정을 복사합니다. 이 서비스 계정에 버킷의 데이터를 읽거나 삭제할 수 있는 권한을 Google SecOps에 부여하려면 이 서비스 계정이 필요합니다.

고급 옵션

  • 피드 이름: 피드를 식별하는 미리 채워진 값입니다.
  • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
  • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.
  1. 피드 만들기를 클릭합니다.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 관한 자세한 내용은 제품별 피드 구성을 참고하세요.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
addr read_only_udm.principal.ip 필드가 비어 있지 않거나 '?'인 경우 기본 IP 주소 목록으로 병합됩니다.
jsonPayload.connection.dest_ip read_only_udm.target.ip 필드가 있는 경우 대상 IP 주소 목록으로 병합됩니다.
jsonPayload.connection.dest_port read_only_udm.target.port 문자열로 변환한 다음 정수로 변환하고 변환 중에 오류가 발생하지 않으면 매핑됩니다.
jsonPayload.connection.protocol read_only_udm.network.ip_protocol 문자열로 변환한 후 정수로 변환됩니다. 조회 테이블을 사용하여 IP 프로토콜 (TCP, UDP 등)을 확인하는 데 사용되며 변환 중에 오류가 발생하지 않으면 매핑됩니다.
jsonPayload.connection.src_ip read_only_udm.principal.ip 필드가 있는 경우 주 구성원 IP 주소 목록으로 병합됩니다.
jsonPayload.connection.src_port read_only_udm.principal.port 문자열로 변환한 다음 정수로 변환하고 변환 중에 오류가 발생하지 않으면 매핑됩니다.
jsonPayload.dest_instance.project_id read_only_udm.target.resource.product_object_id jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.dest_instance.region read_only_udm.target.location.name jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.dest_instance.vm_name read_only_udm.target.resource.attribute.cloud.project.name jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.dest_instance.zone read_only_udm.target.resource.attribute.cloud.availability_zone jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.dest_vpc.project_id read_only_udm.target.cloud.vpc.product_object_id 관련 필드를 매핑하는 조건으로 사용됩니다.
jsonPayload.dest_vpc.subnetwork_name read_only_udm.target.cloud.vpc.name jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.instance.project_id read_only_udm.target.resource.product_object_id jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.instance.region read_only_udm.target.location.name jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.instance.vm_name read_only_udm.target.resource.attribute.cloud.project.name jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.instance.zone read_only_udm.target.resource.attribute.cloud.availability_zone jsonPayload.instance.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.message read_only_udm.metadata.product_event_type, read_only_udm.principal.application, read_only_udm.target.process.pid, read_only_udm.target.user.userid, read_only_udm.principal.hostname, read_only_udm.target.process.command_line, read_only_udm.security_result.description, read_only_udm.principal.process.file.full_path grok 패턴 및 조건부 논리에 따라 파싱되고 다른 필드에 매핑됩니다.
jsonPayload.rule_details.action read_only_udm.security_result.action 보안 결과 작업 (허용/차단)을 결정하고 매핑하는 데 사용됩니다.
jsonPayload.rule_details.direction read_only_udm.network.direction 네트워크 방향 (INBOUND/OUTBOUND/UNKNOWN_DIRECTION)을 확인하고 매핑하는 데 사용됩니다.
jsonPayload.rule_details.priority read_only_udm.security_result.priority_details 변환 중에 오류가 발생하지 않으면 문자열로 변환되고 매핑됩니다.
jsonPayload.rule_details.reference read_only_udm.security_result.rule_labels.value 규칙 라벨 값에 매핑됩니다.
jsonPayload.src_instance.project_id read_only_udm.principal.resource.product_object_id jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.src_instance.region read_only_udm.principal.location.name jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.src_instance.vm_name read_only_udm.principal.resource.attribute.cloud.project.name jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.src_instance.zone read_only_udm.principal.resource.attribute.cloud.availability_zone jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.src_vpc.project_id read_only_udm.principal.cloud.vpc.product_object_id 관련 필드를 매핑하는 조건으로 사용됩니다.
jsonPayload.src_vpc.subnetwork_name read_only_udm.principal.cloud.vpc.name jsonPayload.src_vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.vpc.project_id read_only_udm.target.cloud.vpc.product_object_id jsonPayload.vpc.project_id가 있는 경우 조건부로 매핑됩니다.
jsonPayload.vpc.subnetwork_name read_only_udm.target.cloud.vpc.name jsonPayload.vpc.project_id가 있는 경우 조건부로 매핑됩니다.
logName read_only_udm.security_result.category_details 직접 매핑됩니다.
resource.labels.instance_id read_only_udm.principal.resource.product_object_id, read_only_udm.principal.asset_id 조건부로 매핑됩니다. 유형이 'PROCTITLE'인 경우 애셋 ID를 구성하는 데 사용됩니다.
resource.labels.location read_only_udm.principal.location.name 필드가 있는 경우 조건부로 매핑됩니다.
resource.labels.project_id read_only_udm.metadata.product_deployment_id 필드가 있는 경우 조건부로 매핑됩니다.
resource.labels.zone read_only_udm.principal.resource.attribute.cloud.availability_zone 필드가 있는 경우 조건부로 매핑됩니다.
resource.type read_only_udm.metadata.event_type 이벤트 유형을 결정하고 매핑하는 데 사용됩니다.
타임스탬프 read_only_udm.metadata.event_timestamp 직접 매핑됩니다.
유형 read_only_udm.metadata.product_event_type, read_only_udm.metadata.event_type, read_only_udm.extensions.auth.type 이벤트 유형, 제품 이벤트 유형, 인증 유형을 확인하고 그에 따라 매핑하는 데 사용됩니다.
read_only_udm.metadata.event_type 이 로직은 'type' 필드와 기타 조건에 따라 이벤트 유형을 설정합니다. 구체적으로 일치하는 항목이 없으면 기본적으로 'GENERIC_EVENT'가 사용됩니다.
read_only_udm.metadata.log_type 상수 값 'GCP_COMPUTE'입니다.
read_only_udm.metadata.vendor_name 상수 값 'Google Cloud Platform'입니다.
read_only_udm.metadata.product_name 상수 값 'Google Cloud Platform'입니다.
read_only_udm.security_result.rule_labels.key 상수 값 'Reference'.
read_only_udm.target.cloud.vpc.resource_type jsonPayload.instance.project_id 또는 jsonPayload.dest_vpc.project_id가 있는 경우 조건부로 'VPC_NETWORK'로 설정됩니다.
read_only_udm.target.resource.attribute.cloud.environment jsonPayload.instance.project_id, jsonPayload.dest_vpc.project_id 또는 jsonPayload.src_vpc.project_id가 있는 경우 조건부로 'GOOGLE_CLOUD_PLATFORM'으로 설정됩니다.
read_only_udm.principal.administrative_domain 'kv_data' 필드에서 추출한 '계정 도메인' 필드에서 매핑됩니다.
read_only_udm.principal.user.user_display_name 'kv_data' 필드에서 추출된 '계정 이름' 필드에서 매핑됩니다.
read_only_udm.target.resource.name 'kv_data' 필드에서 추출한 '객체 이름' 필드에서 매핑됩니다.
read_only_udm.target.resource.type 'kv_data' 필드에서 추출된 '객체 유형' 필드에서 매핑됩니다.
read_only_udm.principal.process.pid 'kv_data' 필드에서 추출한 '프로세스 ID' 필드에서 매핑됩니다.
read_only_udm.target.user.windows_sid 'kv_data' 필드에서 추출된 '보안 ID' 필드에서 매핑됩니다.
read_only_udm.network.session_id 'auid' 필드에서 매핑됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.